Win8x64 咖啡豆基础规则【Update 2014/03/28 Final】

qftest

墨家小子 发表于 2014-3-1 14:11
求别云杀，测试一下这个：http://bbs.kafan.cn/thread-1678903-1-1.html
还有这个：http://bbs.kafan.cn ...

测试 explorer.exe联网 http://bbs.kafan.cn/thread-1678903-1-1.html





关闭月神监控，正常双击






关闭禁运规则“阻止对所有共享资源的读写访问”和自定义09，关闭自动Sandbox
未发现C:\Windows\explorer.exe被注入，等了N久不见下一步动作，网络端口正常，病毒不断创建进程导致CPU占用过高，手动在windows任务管理器中结束进程后未发现异常，不放心又用急救箱扫了一遍结果报告未发现威胁



仍然关闭禁运和Sandbox，切换到疯狂模式，点击拦截后病毒进程果断退出，未发现异常



疯狂模式故意放行全部动作
病毒试图通过wmic执行远程管理，被自定义04规则和D+拦截后试图在system32下创建explorer.exe，被拦截后自动退出，未发现系统异常及explorer.exe联网行为

所有测试完成后目测系统正常
你说不要云杀是指关闭comodo的双击自动云查询吗？这个好麻烦的，不想重启来重启去就开着吧
后面两个有时间再测，闪先

墨家小子

qftest 发表于 2014-3-1 19:19
测试 explorer.exe联网 http://bbs.kafan.cn/thread-1678903-1-1.html

前面的连云就别测了，肯定杀的

后面的测试能不能把启动项贴一下啊

神农大表哥

感谢分享

cobrayang

咖啡所有规则恢复到默认标准保护，仅加一条“阻止对所有共享资源的读写访问”，你看有样本能过吗？这条规则阻止的不是样本的危险行为，而是几乎所有行为，包括启动！

cobrayang

毛豆所有规则恢复到默认，清空默认的信任厂商列表，再去掉文件评级里的4个勾，你看有样本能过不？如果能过也是你放行的。。

qftest

墨家小子 发表于 2014-3-1 20:52
前面的连云就别测了，肯定杀的

后面的测试能不能把启动项贴一下啊

这个配置是双击后自动云查询、报毒后自动中止病毒进程而不是杀毒
我记得前面的测试应该是没有被修改启动项，当时每轮测试完成后我都分别用PT和PCHunter检查过，并且还校验了全部的数字签名等等东西
即便我当时目测有误，在测试完成后的急救箱扫描也不应该报告没有发现威胁
咖啡豆组合靠的就是月神D+禁运Sandbox这些防御手段，如果再放行云查询就不是测试咖啡豆组合的防御能力了，而是纯粹用COMODO来跟踪观察病毒的小动作。。。

闲来无事，下面我就关闭所有的防御+放行云查询、疯狂模式跟踪观察一下：



D+的部份报警事件截图（不贴那么多了，选了几张贴上来）

第1次拦截：



第2次拦截：



Debugr提权：



衍生物：



第3次拦截：



注入svchost.exe：



修改启动项注册表：



注入netsh.exe：



（其他相关截图：）

所有动作全部放行后，会多出一个explorer.exe：



启动项被修改的样子：





重启后，病毒衍生物自动启动、创建system32\explorer.exe进程：



然后是一系列的提权、修改、注入就懒得截图了。。。
最后附上提取到的衍生物：http://bbs.kafan.cn/forum.php?mo ... 03&pid=30582584


无论是放行时还是重启后，comodo事件中都没有看到c:\windows\explorer.exe被注入

qftest

STCn1000 发表于 2014-3-1 14:23
看不懂~~~~
这个也只能8下面用吧。。是5.12的毛豆？貌似不能在8.1下面用？

这个规则不复杂啊。。
我没有用过8.1，听说comodo5.12在8.1平台下确实有问题

qftest

qpzmggg999 发表于 2014-3-1 14:42
支持一下，只怕这样玩咖啡，会阻止系统更新啊。

而且像 控制exe这种 纯禁运规则

这就是我平时用的规则，不觉得排除量很大呀

墨家小子

qftest 发表于 2014-3-2 13:06
这个配置是双击后自动云查询、报毒后自动中止病毒进程而不是杀毒
我记得前面的测试应该是没有被修改启动 ...

其实我的意思是，看你的麦咖啡规则能不能防御住系统程序被利用（劫持、注入、DDE）之后的一些行为。如果这些被利用的系统程序写启动服务项，能被你的规则防御住，那就OK。并不是全部的禁运。

qftest

cobrayang 发表于 2014-3-2 11:07
咖啡所有规则恢复到默认标准保护，仅加一条“阻止对所有共享资源的读写访问”，你看有样本能过吗？这条规则 ...

“阻止对所有共享资源的读写访问”就是默认的“防病毒爆发控制”规则，这条全局禁运规则不放行当然不能执行